Naglabas ang BitBox ng update sa firmware na nag-aayos ng dalawang malubhang vulnerabilities na maaaring naglantad sa mga user ng hardware wallet sa malisyosong firmware o nagdulot upang makulong ang Bitcoin sa isang hindi sinasadyang address.

Sinabi ng BitBox sa isang pahayag sa seguridad noong Lunes na ang unang vulnerability ay kinabibilangan ng pagkasira ng memorya na nakakaapekto sa mga edisyong Multi ng BitBox02 at BitBox02 Nova na hindi pa naka-configure, habang ang pangalawang depekto ay nakakaapekto sa implementasyon ng Silent Payments ng tagagawa ng wallet.

Sinabi ng kumpanya na wala silang nakitang ebidensya na napagsamantalahan ang alinmang vulnerability at wala silang natanggap na mga ulat ng mga user na nawalan ng pondo dahil sa mga depekto.

Maaaring pinahintulutan ng kahinaan ng BitBox ang malisyosong firmware

Para sa unang vulnerability, sinabi ng BitBox na maaaring pagsamantalahan ng isang malisyosong host na konektado sa isang apektadong wallet ang pagkasira ng memorya upang magsagawa ng arbitraryong code bago pa na-configure ang device gamit ang isang wallet.

Ang matagumpay na pagsasamantala ay maaaring magpahintulot sa host na mag-install ng malisyosong firmware, na lumilikha ng isang ruta kung saan maaaring makompromiso ang pondo sa kalaunan, ayon sa kumpanya.

Ang exposure ay limitado sa mga edisyong Multi ng BitBox02 at BitBox02 Nova na hindi pa nase-set up. Kinategorya ng BitBox ang vulnerability bilang malubha dahil ang pagpapatupad ng arbitraryong code ay maaaring magpahina ng mga proteksyon na idinisenyo upang pigilan ang hindi awtorisadong software na tumakbo sa hardware wallet.

Kinokontrol ng firmware kung paano pinangangasiwaan ng isang hardware wallet ang mga operasyon ng cryptographic, biniberipika ang mga transaksyon at nakikipag-ugnayan sa isang konektadong computer. Sinabi ng BitBox na ang vulnerability ay maaaring maglagay sa panganib sa pondo kung nagawang gamitin ng isang attacker ang depekto upang mag-install ng malisyosong firmware sa isang apektadong device.

Katulad na mga kahinaan sa hardware at firmware ang lumitaw sa iba pang mga tagagawa ng wallet nitong mga nakaraang buwan. Noong Hunyo, iniulat ng crypto.news ang isang depekto sa TROPIC01 Secure Element na ginagamit ng Trezor Safe 7 device matapos magsagawa ng laser fault injection attack ang mga mananaliksik ng Ledger Donjon sa panahon ng pagsubok sa laboratoryo.

Sinabi ng Trezor na nanatiling protektado ang Safe 7 nito dahil gumagamit ang device ng tatlong independiyenteng layer ng seguridad ng hardware. Ayon sa kumpanya, ang pagkompromiso sa TROPIC01 lamang ay hindi nagbigay ng access sa PIN, wallet o pondo ng isang user.

Ibinigay ng Tropic Square ang chip sa Ledger Donjon para sa independiyenteng pagsubok, kung saan inabisuhan ng mga mananaliksik ang kumpanya noong Enero na nakuha nila ang ilang chip secrets at nilagpasan ang mga pagsusuri sa signature ng firmware gamit ang laboratory attack.

Ang isa pang hardware attack na inilabas noong Hulyo ay nagpahintulot sa mga mananaliksik ng Ledger Donjon na i-reset ang password sa isang Tangem wallet card gamit ang isang target na laser pulse laban sa secure element nito.

Sinabi ng Ledger Donjon na nangailangan ang atake ng pisikal na pagmamay-ari ng card, mapanghimasok na paghahanda, espesyalistang kaalaman at kagamitan sa laboratoryo na nagkakahalaga ng humigit-kumulang $250,000. Inilarawan ng Tangem ang pang-araw-araw na panganib sa mga customer bilang "halos wala," habang pinapayuhan ang mga user na panatilihing ligtas sa pisikal ang kanilang mga wallet card.

Maaaring nakakulong ang Bitcoin dahil sa depekto sa Silent Payments

Ang pangalawang malubhang vulnerability ng BitBox ay nakaapekto sa Silent Payments, isang tampok ng privacy ng Bitcoin na nagpapahintulot sa mga user na makatanggap ng mga bayad nang hindi naglalathala ng bagong address para sa bawat transaksyon.

Ayon sa BitBox, maaaring pagsamantalahan ng isang malisyosong host ang implementasyon upang maging dahilan upang makulong ang Bitcoin sa isang hindi sinasadyang address.

Hindi posible ang direktang pagnanakaw sa pamamagitan ng vulnerability, sinabi ng kumpanya. Sa halip, maaaring iwanan ng isang attacker ang biktima na hindi makarekober ng Bitcoin nang walang kooperasyon at posibleng humingi ng ransom bilang kapalit ng pagtulong upang i-unlock ang mga coin.

Ang gayong atake ay hindi awtomatikong maglilipat ng kontrol sa apektadong Bitcoin sa malisyosong host, ngunit sinabi ng BitBox na ang vulnerability ay maaari pa ring maglagay sa panganib sa pondo sa pamamagitan ng paggawa sa mga ito na hindi ma-access sa kanilang may-ari.

Tinugunan ng kumpanya ang problema sa pamamagitan ng pinakabago nitong update sa firmware at sinabi na wala silang natanggap na mga ulat ng pagsasamantala sa depekto ng Silent Payments.

Tinugunan ng BitBox ang iba pang mga isyu sa seguridad sa pamamagitan ng mga update sa firmware ngayong taon. Kasama sa Oeschinen update nito noong Hulyo ang ilang security fix, kabilang ang isa para sa buffer out-of-bounds write na nakakaapekto sa firmware at bootloader ng BitBox02.

Ayon sa pahayag ng kumpanya noong panahong iyon, ang isang kahilingan sa USB ay tumanggap ng halaga ng haba nang hindi wastong sinusuri ito laban sa laki ng destination buffer, na lumilikha ng potensyal na ruta para sa isang malisyosong host upang mag-trigger ng out-of-bounds write.

Sinabi ng BitBox na walang gumaganang exploit ang naipakita para sa vulnerability na iyon, bagaman hindi lubos na maibubukod ang epekto sa control flow.

Mas maaga noong Enero, nag-patch din ang kumpanya ng dalawang BitBox02 Nova vulnerabilities na naiulat sa pamamagitan ng bug bounty programme nito. Kinategorya ng BitBox ang mga isyu bilang minor at moderate dahil nangailangan ang pagsasamantala ng advanced na pisikal na access at inilapat lamang sa ilalim ng tiyak na mga kondisyon.

Ang depekto sa firmware ng Coldcard ay nagbigay ng pansin sa seguridad ng wallet

Ang update ng BitBox ay kasunod ng paglalabas ng isang hiwalay na depekto sa firmware ng Coldcard na nauugnay sa mahigit $112 milyon sa ninakaw na Bitcoin matapos manatiling hindi natukoy ang vulnerability nang mahigit limang taon.

Sinabi ng Galaxy Research noong Biyernes na ang mga pagkalugi na nauugnay sa Coldcard ay lumampas sa $112 milyon, na may tinatayang 1,778.6 BTC ang naalis mula sa mahigit 8,600 na address.

Ang vulnerability ay sinubaybayan sa isang pagbabago sa firmware na ipinakilala noong Marso 2021 na naapektuhan ang randomness na ginamit upang makabuo ng mga wallet seed. Maaaring brute-force ng mga attacker ang naapektuhang mga seed at makuha ang kaukulang mga private key nang hindi nakukuha ang pisikal na access sa hardware wallet, ayon sa pananaliksik sa insidente.

Ang isang wallet seed ay ginagamit upang makuha ang mga private key na kumokontrol sa cryptocurrency nito. Ang mga kahinaan na nagpapababa sa randomness na ginamit sa panahon ng pagbuo ng seed ay maaaring magpababa sa bilang ng posibleng kombinasyon na kailangan ng isang attacker na subukan.

Para sa mga user na ang mga wallet ay nilikha gamit ang apektadong firmware ng Coldcard, ang pag-update lamang ng device ay hindi magre-repair ng isang seed na nabuo na may mahinang randomness. Ang paglipat ng pondo sa isang wallet na nilikha mula sa isang bagong nabuong secure na seed ay kinakailangan upang alisin ang exposure na nauugnay sa nakompromisong seed.

Ang insidente ay nakaapekto sa isang linya ng hardware wallet na nakatanggap ng una nitong pangunahing pagbabago sa hardware sa loob ng ilang taon mas maaga noong 2026. Inilunsad ng Coinkite ang Coldcard MK5 noong Marso, at ang device ang naging unang hardware update sa flagship MK series nito mula nang dumating ang MK4 noong 2022.

Pinanatili ng MK5 ang dual secure-element architecture ng nakaraang modelo gamit ang mga chip mula sa dalawang magkaibang vendor at pinanatiling air-gapped ang mga private key. Kasama sa mga pangunahing pagbabago nito ang isang 1.54-inch Gorilla Glass display, muling idinisenyo ang mga pisikal na button at pinabuting mga function ng NFC.

Sinabi ng Coinkite noong panahong iyon na ang limang pangunahing pag-upgrade ng MK5 ay nakatuon sa usability habang pinapanatili ang arkitektura ng seguridad na ginamit ng nakaraang modelo.

Ang mga paglabas ng data ng customer ay lumikha ng magkahiwalay na panganib sa phishing

Nakaranas din ang mga may-ari ng hardware wallet ng mga insidente sa seguridad sa labas ng mga device mismo, na may kamakailang mga paglabag na kinasasangkutan ng Trezor at SafePal na naglantad ng impormasyon ng customer at order na pag-aari ng mahigit 53,000 katao.

Iniugnay ng Trezor ang paglantad ng impormasyon na pag-aari ng 13,689 customer sa tagapagbigay ng pagpapadala na ShipMonk. Hiwalay na sinabi ng SafePal na ang isang depekto sa awtorisasyon sa isang plug-in sa pagsubaybay ng order ang naglantad ng mga detalye na konektado sa 39,798 customer.

Wala sa alinmang insidente ang nakompromiso ang mga hardware wallet, private key o recovery phrase ng mga kumpanya, ayon sa kani-kanilang mga pahayag. Parehong nagbabala ang mga kumpanya na ang nailantad na personal at order information ay maaaring gamitin para sa targeted na phishing at pagtatangka ng panloloko.

Ang gayong impormasyon ay maaaring magbigay sa mga attacker ng mga detalye na kailangan upang mas magmukhang kapani-paniwala ang mga scam na nauugnay sa wallet. Mas maaga noong Pebrero, nagpadala ang mga attacker ng pisikal na mga sulat na nagpapanggap na Trezor at Ledger at inutusan ang mga tatanggap na kumpletuhin ang diumano'y pagpapatunay o pagsusuri ng transaksyon.

Ang pisikal na kampanya ng phishing ay gumamit ng mga opisyal na sulat na naglalaman ng mga QR code na nagdidirekta sa mga tatanggap sa malisyosong website. Ilang sulat ang lumikha ng pagkaapurahan sa pamamagitan ng pag-angkin na kailangang kumpletuhin ng mga user ang isang proseso ng pagpapatunay upang maiwasan ang mga problema sa pag-access sa kanilang mga wallet.

Hiniling sa mga biktima ng mga website na ipasok ang 12-, 20- o 24-word na recovery phrase sa ilalim ng pagkukunwari ng pag-verify ng pagmamay-ari. Kapag naipasok, ang mga phrase ay ipinadala sa mga attacker, na nagpapahintulot sa kanila na muling likhain ang mga wallet at magkaroon ng kontrol sa nauugnay na pondo.

Sinabi ng Trezor at Ledger na ang mga lehitimong tagapagbigay ng hardware wallet ay hindi humihingi sa mga customer na ipasok, i-scan, i-upload o ibahagi ang mga recovery phrase sa pamamagitan ng mga website o iba pang panlabas na channel. Ang mga recovery phrase ay dapat lamang ipasok nang direkta sa isang hardware wallet kapag nagre-restore ng isang wallet, ayon sa mga kumpanya.